Was ist ein Computer Emergency Response Team (CERT)?Ein Computer Emergency Response Team (CERT), auch Computer Security Incident Response Team (CSIRT) oder Computer-Notfallteam genannt, ist ein Expertenteam, das Sicherheitsvorfälle für einen festgelegten Zuständigkeitsbereich verhindert, koordiniert und behebt. Dieser Zuständigkeitsbereich kann ein Unternehmen, eine Behörde, eine Branche oder ein ganzes Land umfassen. Der Fachbegriff dafür lautet Constituency. In aller Regel reagiert ein CERT auf Meldungen zu Vorfällen, die zum Beispiel ein Security Operations Center (SOC) aufdeckt. Die typischen Merkmale eines CERT im Überblick: - Zentrale Anlaufstelle für die Meldung von Sicherheitsvorfällen (Single Point of Contact)
- Reaktive Hilfe im Ernstfall durch Analyse und Eindämmung von Vorfällen sowie koordinierte Wiederherstellung
- Präventive Veröffentlichung von Warnungen und Informationen zu Schwachstellen, bevor Angriffe Schaden anrichten
- Vernetzung mit anderen CERTs zum Austausch von Warnungen und Bedrohungsinformationen
Aufgaben eines Computer Emergency Response TeamsDie Aufgaben eines CERT lassen sich in drei Gruppen ordnen: Reaktive Dienste:
Das Team nimmt Vorfallsmeldungen entgegen, bewertet und priorisiert sie, unterstützt bei Analyse und Eindämmung und koordiniert die Reaktion. Das gilt auch über Organisationsgrenzen hinweg, etwa wenn mehrere Betroffene oder internationale Partner beteiligt sind. Präventive Dienste:
Das CERT beobachtet die Bedrohungslage, gibt Warnungen und Sicherheitshinweise (Advisories) zu aktuellen Schwachstellen heraus und empfiehlt Gegenmaßnahmen wie Patches oder Workarounds. Das CERT-Bund betreibt dafür beispielsweise den Warn- und Informationsdienst (WID). Qualitäts- und Wissensdienste:
Darüber hinaus stärken viele Teams das Sicherheitsbewusstsein in ihrem Zuständigkeitsbereich, unterstützen Übungen und teilen Erkenntnisse mit anderen Teams (Threat Intelligence Sharing). Welche Dienste ein konkretes Team anbietet, legt es selbst fest. Das IETF-Dokument RFC 2350 fordert nur, dass es diese Festlegung transparent dokumentiert.
CERTs in Deutschland, Europa und weltweitIn Deutschland betreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) das CERT-Bund als zentrale Anlaufstelle für präventive und reaktive Maßnahmen bei Sicherheitsvorfällen. Es richtet sich vorrangig an Bundesbehörden, ist gemeinsam mit dem IT-Lage- und Analysezentrum rund um die Uhr erreichbar und veröffentlicht täglich Warnungen zu Schwachstellen. Daneben existieren Landes-CERTs, Branchen-CERTs und viele Unternehmens-CERTs. Auf europäischer Ebene verpflichtet die NIS-2-Richtlinie jeden Mitgliedstaat, ein oder mehrere nationale CSIRTs zu benennen (Artikel 10). Artikel 11 legt dafür klare Anforderungen und Aufgaben fest. Dazu gehören hochverfügbare Kommunikationskanäle, sichere Standorte, das Monitoring der Bedrohungslage, Frühwarnungen und die Unterstützung betroffener Einrichtungen. Artikel 15 etabliert das CSIRTs Network, in dem die nationalen Teams und das CERT-EU der EU-Institutionen operativ zusammenarbeiten. Die EU-Agentur ENISA stellt das Sekretariat und unterstützt die Kooperation aktiv. Weltweit vernetzt das Forum of Incident Response and Security Teams (FIRST) die Teams untereinander und definiert gemeinsame Standards und Rahmenwerke.
CERT, CSIRT, SOC: Wo liegen die Unterschiede?Rund um CERTs kursieren mehrere Bezeichnungen, die inhaltlich weitgehend dasselbe meinen. CERT, CSIRT, CIRT (Computer Incident Response Team) und IRT (Incident Response Team) werden von vielen Organisationen synonym verwendet. Daneben existiert CSIRC (Computer Security Incident Response Center). Der Ursprung liegt beim CERT Coordination Center (CERT/CC), das die Carnegie Mellon University 1988 als Reaktion auf den Morris-Wurm im Auftrag der US-Forschungsbehörde DARPA aufbaute. Bei der Namenswahl spielt zudem das Markenrecht eine Rolle. „CERT“ ist eine eingetragene Marke der Carnegie Mellon University. In den USA benötigen Teams eine Genehmigung, um den Namen zu führen. International lizenziert die Universität die Marke inzwischen nicht mehr, widerspricht aber nationalen Registrierungen mit CERT-Bestandteil in der Regel nicht. Als generische, frei nutzbare Bezeichnung hat sich CSIRT etabliert. Auch die europäische NIS-2-Richtlinie spricht von CSIRTs, die deutsche Fassung übersetzt sie als „Computer-Notfallteams“. Ein Security Operations Center (SOC) und ein CERT überschneiden sich, sind aber nicht dasselbe. Das SOC überwacht die IT-Infrastruktur einer Organisation kontinuierlich, betreibt dafür Werkzeuge wie SIEM-Systeme und deckt neben der Vorfallserkennung oft weitere Betriebsaufgaben ab. Ein CERT konzentriert sich dagegen auf das Management von Sicherheitsvorfällen, also auf Meldeannahme, Koordination, Analyse und Kommunikation. Sein Zuständigkeitsbereich ist dabei häufig breiter als eine einzelne Organisation. In der Praxis ergänzen sich beide Rollen. Das SOC erkennt einen Angriff im laufenden Betrieb, das CERT übernimmt die strukturierte Vorfallsbehandlung und die Vernetzung nach außen. Kleinere Organisationen bündeln beide Aufgaben oft in einem Team, während Staaten und Konzerne sie getrennt aufstellen.
Vorteile von Computer Emergency Response Teams, Risiken & Herausforderungen
Vorteile eines CERT
Schnelle Reaktion: Ein eingespieltes Team mit klaren Prozessen verkürzt die Zeit von der gemeldeten Entdeckung bis zur Eindämmung eines Vorfalls. Zentrale Koordination: Eine definierte Meldestelle verhindert Chaos im Ernstfall und bündelt die Kommunikation nach innen und außen. Prävention: Warnmeldungen und Sicherheitshinweise helfen, Angriffe zu verhindern, bevor sie Schaden anrichten. Vernetzung: Über FIRST, das CSIRTs Network und direkten Austausch zwischen Teams fließen Bedrohungsinformationen schneller.
Risiken eines CERT
Scheinsicherheit: Ein CERT braucht Befugnisse, Personal und Übung. Fehlt eines davon, scheitert die Vorfallsbehandlung genau dann, wenn sie gebraucht wird. Überlastung im Ernstfall: Bei großflächigen Vorfällen laufen viele Meldungen gleichzeitig auf. Ohne klare Priorisierung droht das Team, wichtige Fälle zu spät zu bearbeiten.
Herausforderungen eines CERT
Fachkräftemangel: Eine Erreichbarkeit rund um die Uhr erfordert mehrere qualifizierte Fachkräfte im Wechseldienst. Viele Organisationen greifen deshalb auf Branchen-CERTs oder externe Dienstleister zurück. Klarer Zuständigkeitsbereich: Zuständigkeit, Meldewege und Schnittstellen zu SOC, IT-Betrieb und Management müssen vorab definiert sein. RFC 2350 liefert dafür die Vorlage.
Computer Emergency Response Team: Fragen und Antworten
Häufige Fragen (FAQ)Wofür steht CERT?CERT steht für Computer Emergency Response Team. Gemeint ist ein Expertenteam, das Sicherheitsvorfälle für einen festgelegten Zuständigkeitsbereich verhindert, koordiniert und behebt. Was ist der Unterschied zwischen CERT und CSIRT?Inhaltlich praktisch keiner. „CERT“ ist eine eingetragene Marke der Carnegie Mellon University, daher gilt CSIRT als generische Bezeichnung. In Deutschland sind beide üblich. Das BSI betreibt das CERT-Bund, während NIS-2 von CSIRTs spricht. Was ist das CERT/CC?Das CERT Coordination Center an der Carnegie Mellon University ist das erste Team seiner Art. Es wurde 1988 nach dem Morris-Wurm im Auftrag der DARPA gegründet. Warum wurde das erste CERT gegründet?Der Morris-Wurm legte im November 1988 rund zehn Prozent des damaligen Internets lahm. Es fehlte eine zentrale Stelle, die die Reaktion koordiniert. Was ist RFC 2350?Ein IETF-Dokument von 1998. Es beschreibt, was die Gemeinschaft von einem Incident-Response-Team erwarten darf, und liefert eine Vorlage, mit der Teams ihre Dienste offenlegen. Was bedeutet Constituency bei einem CERT?Constituency ist der englische Fachbegriff für den festgelegten Zuständigkeitsbereich eines CERT, zum Beispiel ein Unternehmen, eine Behörde, ein Sektor oder ein Staat. Was macht CERT-Bund?CERT-Bund ist das Computer-Notfallteam des BSI für Bundesbehörden. Es dient als zentrale Meldestelle, koordiniert Vorfälle, ist rund um die Uhr erreichbar und warnt täglich vor Schwachstellen. Was fordert NIS-2 zu CSIRTs?Jeder EU-Mitgliedstaat muss nationale CSIRTs benennen, die unter anderem Bedrohungen überwachen, Frühwarnungen ausgeben und Vorfälle behandeln. Die Teams kooperieren im europäischen CSIRTs Network mit CERT-EU und ENISA. Worin unterscheidet sich ein CERT von einem SOC?Das SOC überwacht eine definierte Infrastruktur rund um die Uhr. Das CERT fokussiert auf Vorfallsbehandlung und Koordination, oft für einen breiteren Zuständigkeitsbereich. Braucht jedes Unternehmen ein eigenes CERT?Nein. Kleinere Organisationen decken die Funktion über ihr SOC, externe Dienstleister (z. B. MDR) oder Branchen-CERTs ab. Entscheidend ist, dass Meldewege und Verantwortung geklärt sind.
Quellenangabe: BSI (CERT-Bund) NIS-2 (Art.10) NIS-2 (Art. 11) NIS-2 (Art. 15) EUR-Lex (NIS-2-Richtlinie) FIRST (About) RFC Editor (RFC 2350, Expectations for Computer Security Incident Response) SEI/CMU (Marke) Verwandte Einträge: Incident Response Security Operations Center (SOC) Security Information and Event Management (SIEM) Cyber-Sicherheit Autor:
Prof. Dr. Norbert Pohlmann
Informatikprofessor für Cyber-Sicherheit und Leiter des Instituts für Internet-Sicherheit, der Westfälischen Hochschule. Stand: 07. September 2026
Weitere Informationen zum Begriff “Computer Emergency Response Team”:
„Relevanz von Werten für den Einsatz von KI"
„Die Lage der Cybersicherheit in Deutschland im internationalen Vergleich" „Digitale Verantwortung ist (IT)-Sicherheit ein Wert oder benötigen wir Werte für die IT-Sicherheit?"
„Lehrbuch-Cyber-Sicherheit"
„Übungsaufgaben und Ergebnisse zum Lehrbuch-Cybersicherheit“ „Bücher im Bereich Cyber Security und IT-Sicherheit zum kostenlosen Download"
„Vorlesungen zum Lehrbuch-Cyber-Sicherheit“
„Forschungsinstitut für Internet-Sicherheit (IT-Sicherheit, Cybersicherheit)“
„Master-Studiengang Internet-Sicherheit (IT-Sicherheit, Cybersicherheit)“ „Marktplatz IT-Sicherheit“ „IT-Notfall- Marktplatz IT-Sicherheit“ „IT-Sicherheitstools - Marktplatz IT-Sicherheit“ „Selbstlernangebot - Marktplatz IT-Sicherheit“ „Köpfe der IT-Sicherheit - Marktplatz IT-Sicherheit “ „Vertrauenswürdigkeits-Plattform"
Summary Article NameComputer Emergency Response Team, CERT DescriptionEin Computer Emergency Response Team (CERT), auch CSIRT oder Computer-Notfallteam genannt, verhindert, koordiniert und behebt Sicherheitsvorfälle für einen klar festgelegten Zuständigkeitsbereich. Author Prof. Norbert Pohlmann Publisher Name Institut für Internet-Sicherheit – if(is) Publisher Logo | 
